16. Методы защиты внешнего периметра

Подсистема включает 2 механизма

1. Средства межсетевого проектирования

2. Средство обнаружение вторжений

Межсетевой экран выполняет функции разграничения информационных потоков на границе защищаемой автоматизированной системы. Это позволяет:

1. повысить безопасность объектов внутренней среды за счет игнорирования не авторизованных запросов из внешней среды.

2. контролировать информационные потоки во внешнюю среду

3. регистрировать процессы

Выделяют несколько классов межсетевых экранов:

• Фильтры пакетов (на сетевом и транспортных уровнях)

Фильтрация осуществляется по нескольким критериям

• IP адрес источника

• IP адрес получателя

• Порт источника

• Порт получателя

• Параметры заголовков пакетов

• Флаги установления соединения

Фильтрация реализуется путем сравнения параметров заголовка пакета со значениями, заданными в базе фильтрации.

• Шлюзы сеансового уровня

Контролируют допустимость сеансов связи на основе протокола сеансового уровня.

• Шлюзы прикладного уровня

Позволяют фильтровать отдельные виды команд в протоколах прикладного уровня. Для этого используются прокси-серверы.

• Межсетевые экраны экспертного уровня

Соединяют в себе признаки первых трех экранов, но вместо прокси-сервера обычно используют алгоритм распознавания и обработки данных на уровне приложения.

Системы обнаружение вторжений представляют собой процесс выявления несанкционированного доступа или его попыток к ресурсам защищаемой системы. IDS представляет собой аппаратно-программный комплекс, состоящий из сенсора, который получает сетевой трафик ядра (модуля анализа, который сравнивает полученный трафик с имеющейся базой сигнатур атак с целью выявления попыток несанкционированного доступа). Если трафик совпадет с какой либо сигнатурой то сообщение о попытке НСД выводится на консоль и вызывается доступ анкетного реагирования, который используется для оперативного блокирования угрозы. Существуют 2 основные категории

1. IDS уровня сети. В таких системах сенсор функционирует на выделенном для этой цели хосте в защищаемом сегменте сети. Обычно сетевой адаптер этого хоста функционирует в режиме прослушивания, анализируя весь сетевой трафик.

2. IDS уровня хоста. Если сенсор находится внутри хоста то для анализа входного трафика используется информация об используемых ресурсов и записи средств протоколирования операционной системы.

IDS уровня сети не снижает общую производительность сети а IDS уровня хоста более эффективно выявляет атаки.

17. Методы защиты программ

Важнейшей составной частью системы защиты с использованием электронных ключей является ее программная компонента. Как правило, она включает в себя:

• защитный «конверт» (Envelope)

• API-функции (API - Application Program Interface)

Защита с использованием пристыковочного механизма (Envelope)

Системы автоматической защиты (automatic implementation systems) предназначены для за­щиты уже готовых программ без вмешательства в ис­ходный код. Для встраи­вания защитного модуля внутрь готовой про­граммы используется «вирусная» технология вживления и перехвата на себя управления пос­ле загрузки. После отработки специаль­ных антиотладочных и антитрассировочных ме­ханизмов, выполняются следующие действия:

• проверяется наличие электронного ключа и считывание из него требуемых параметров

• проверка «ключевых» условий и выработка решения:

В случае TRUE производится загрузка, расшиф­ровка и настройка на выполнение тела защищен­ной программы и передача на нее управления после выгрузки защитного модуля из памяти.

В случае FALSE загрузка и расшифровка тела программы в память не производится.

Для защиты от аппаратной или программной эмуляции обмен между защитной оболочкой и электронным ключом выполняется с использо­ванием зашумленного изменяющегося во вре­мени протокола (так называемого «плавающе­го» протокола).

Преимущества:

• простота и легкость установки

• возможность автоматического вживления защиты без модифи­кации исходного кода програм­мы

• наличие профессионального мо­дуля антитрассировки и проти­водействия отладчикам

Недостатки:

• электронный ключ проверяется только при запуске, поэтому пос­ле запуска приложения на одном компьютере ключ может быть перенесен на другой компьютер

• использование только защитной оболочки не обеспечивает наде­жной защиты.

Защита с использованием функций API

Использование функций API - это очень мощ­ный механизм защиты. В зависимости от схемы маркетинга, программа может быть защищена с различной глубиной. При этом могут использоваться разные уровни проверок, соответствующие набору проверяемых признаков:

• Наличие ключа;

• Код ключа;

• Тип ключа;

• Версия программного продукта;

• ID-номер ключа.

Потенциально, с использованием функций API можно построить защиту приложения неограни­ченной стойкости. Однако в описанной схеме существует определенный недостаток, наличие которого сильно ограничивает качества защиты с использованием API. Проблема заключается в том, что процедуры ра­боты с ключом, которые вызываются из основ­ной программы, являются «низкоуровневыми». Как правило, это процедуры чтения/записи па­мяти ключа, получения значений аппаратно реа­лизованной в ключе функции и т.д. Вызовы таких процедур резко выделяются из общей логичес­кой структуры приложения, что позволяет потен­циальному взломщику достаточно легко их об­наружить и нейтрализовать. Теперь представим, что разработчик прикладно­го программного продукта имеет в своем распо­ряжении библиотеку функций, специализиро­ванных для его приложения, в которой каждая функция обращается к электронному ключу и возвращает TRUE/FALSE. Использование такой библиоте­ки «высокоуровневых» функций работы с клю­чом имеет следующие преимущества:

1. Отсутствие в программе проверки значений, полученных из ключа.

2. Необходимость потенциальному взломщику детально разбираться в логике работы прило­жения, чтобы взломать защиту.

3. Автоматическое обеспечение идеологии раз­несения операций получения значений из ключа и их обработки по цепочке «основная програм­ма» — «высокоуровневые процедуры» — «ни­зкоуровневые процедуры».

Использование памяти ключа

Память ключа может быть использована для хранения некоторой важной информации о про­грамме, например:

• серийный номер программы – для сбора статистических данных

• номер версии – для распространения upgrade’ов

• номер модификации (релиза)

• дата выпуска (дата продажи)

• количество запусков программы - для демон­страционного режима

• предельная дата/время работы программы - в случае сдачи программы в аренду, для демонстрации или в лизинг с перио­дическими выплатами.

• набор опций – для эффективного уп­равления составом рабочих модулей дистрибу­тивной поставки.

• количество лицензий (для сетевых версий)

Преимущества:

• повышенная надежность защиты, соз­даваемая за счет «размазывания» вы­зовов API по всему телу программы

• предоставление разработчику всех технологических возможностей ключа (доступ к памяти, периодические про­верки, доступ к дополнительным функциям и т.д.)

Недостатки:

• необходимость встраивания вызовов API внутрь программы

• возможность обхода или отключения вызовов API в случае, если программа не защищена с помощью защитной оболочки